GMO不正アクセスとAI時代のセキュリティ — 支援士が思うこと

« 前の記事
 |  カテゴリ: Keiのブログ  |  タグ: ,

こんにちは、Keiです。

久しぶりの更新は、少し硬めの話題です。2026年10月に起きた、GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセスについて書いてみます。

このところ、個人情報が漏れたというニュースが続いていました。なので、Yahoo!ニュースかNHKのニュースでこの件を最初に見たときも、「またか。そのうちの一つかな」くらいに受け止めていました。

見る目が変わったのは、攻撃者が犯行予告を出してきたあたりからです。それに、やられたのがGMOという、インターネットのサービスを提供している会社そのものだったこと。私自身、このブログのドメイン keikun.info はお名前.comで管理しています。他人事として眺めていられる話ではありませんでした。

調べていくうちに、これはコンピューターセキュリティにとって一つの分岐点になる出来事だと感じるようになりました。情報処理安全確保支援士として、そして23年自宅サーバーを運用してきた一人として、思うところをまとめておきます。

何が起きたのか（2026年11月1日時点）

まずは事実の整理です。GMOインターネットグループの発表と報道をもとに、要点だけ並べます。

  • 10月19日、利用者からの問い合わせをきっかけに調査を開始。翌20日、一部のサーバーに不正なプログラムが置かれているのを確認
  • 10月21日、FX（外国為替証拠金取引）の自動売買向けクラウドサービス「お名前.com デスクトップクラウド」を全プラン停止。影響の可能性があるサーバーは26,739台
  • 10月24日、顧客情報が外部に持ち出されたことを確認したと発表。当初の「漏えいは確認されていない」という説明から変わった
  • 攻撃者とみられる者は約80億円（5,000万ドル）を要求。GMOは応じないと表明
  • 攻撃者は10月27日正午を期限に、情報の公開と利用者PCへのランサムウェア攻撃を予告。同日、顧客1人分とされる情報が公開された（ランサムウェア攻撃は確認されていない）
  • 10月28日、情報が公開されていたサイトのドメインが停止。GMOは犯人特定につながる情報に、総額100万ドルを上限とする懸賞金を設けた

利用者の側では、FX口座で身に覚えのない取引が行われる被害も出ています。GMOは利用者全員への見舞金5,000円と、不正取引による損失の補填を発表しています。

GMOは政府に対して、10月1日に施行されたばかりのサイバー対処能力強化法にもとづく「能動的サイバー防御」の発動も求めました。警視庁が不正アクセス禁止法違反などの疑いで捜査していますが、10月31日時点で犯人の特定や逮捕は発表されていません。11月2日には、熊谷正寿代表らが記者会見を開く予定です。

さらに11月1日には、GMOの別の子会社が、設定ミスによって約4万5千人分の個人情報を9年間外部から見られる状態にしていたと発表しました。こちらは不正アクセスではありません。

進行中の出来事なので、ここに書いた内容は続報で変わる可能性があります。

よくある漏洩と違ったところ

この件がそれまでの漏洩ニュースと違って見えたのは、大きく3つです。

1つ目は、犯行予告から始まった劇場型の展開です。期限を切って身代金を要求し、払わなければ毎日正午に情報を公開する。攻撃者がわざわざ時刻まで決めて世間に見せつけるやり方は、これまでの「後から漏洩が発覚しました」という報道とは空気がまったく違いました。

2つ目は、相手がGMOだったことです。サーバーやドメインといったインターネットの基盤を提供している会社で、インターネットの中では専門家の一社だと思います。GMOグループには「GMOサイバーセキュリティ byイエラエ」というホワイトハッカーの会社まであります。その専門家の会社がやられた、というのは重い事実です。

3つ目は、穴があることが以前から指摘されていたことです。熊谷代表は10月25日のブログで、社内のホワイトハッカーから事前に課題を指摘されていて、対策は進めていたものの、対応の深さとスピードが足りなかったと謝罪しました。さらに10月31日には、グループのセキュリティ子会社が2024年4月の時点でシステムの脆弱性を指摘していたのに、十分な対応がされてこなかったと、NHKや日本経済新聞が報じています。

つまり、専門家は2年前に穴に気づいていて、それを会社にも伝えていた。それでも十分に手が打たれないまま、今回の事件が起きたことになります。今回の侵入経路が、2年前に指摘されたものと同じかどうかはまだ発表されていません。11月2日の会見で説明があるかもしれません。

ニュースを追っていると、「闇のハッカー集団 vs GMOのホワイトハッカー」の戦いのようにも見えました。ただ、この3つ目の事実を知ってからは、見え方が変わりました。技術で負けたのではなく、ホワイトハッカーの声が会社の中で活かされなかった。私にはそう見えます。

なぜ専門家の指摘は2年間活かされなかったのか

では、なぜ2年も前の指摘が活かされなかったのか。詳しい経緯はまだ発表されていないので、ここからは私の見方です。

私は、会社の中のしがらみだと思っています。

専門家が「ここに穴がある」と指摘したとします。その穴を塞ぐには、人手も時間もお金もかかります。場合によってはサービスを止めたり、仕組みを作り直したりする必要もあるでしょう。ところが、それだけのことをしても、売上は1円も増えません。穴を塞いだ結果として手に入るのは、「何も起きない」という状態だけです。

一方で、経営の目線では、どうしても売上、利益、営業利益率といった数字が先に来ます。新しいサービスを出す、顧客を増やす、利益率を上げる。そうした数字につながる仕事と、セキュリティの指摘とが同じ予算と人手を取り合えば、どちらが先になるかは想像がつきます。セキュリティにかかるお金は「コスト」と呼ばれ、優先順位は売上や利益の次に回されてしまう。しかも「今のところ何も起きていない」という事実が、後回しにする判断を後押しします。

これはGMOだけの話ではありません。IT業界で20年ほど働いていると、よく見かける構図です。専門家の意見は、経営者から見ると二の次になりやすい。指摘した側は正しいことを言っているのに、その正しさを数字で示せないために、なかなか順番が回ってこないのです。

GMOは、グループの中にホワイトハッカーの会社を持ち、セキュリティを事業として外に提供している会社です。その会社ですら、自社のサービスでは指摘を活かしきれなかった。専門家を抱えていることと、その声を経営判断に反映できることは、別の話なのだと思います。

そして、この「後回し」の代償は、以前よりずっと大きくなってきているように感じます。攻撃する側の道具が変わってきたからです。

防御のためのAIが攻撃に使われている

今回の件と同じ時期に、その変化をはっきり示す発表がありました。

10月19日、GMOサイバーセキュリティ byイエラエは、日本企業約20社を狙った攻撃の基盤を調べたところ、AIで自律的に侵入テストを行うツール「ARTEX」が使われていたと発表しました。標的のうち8社は、2026年9〜10月に情報漏えいを公表していた企業です。私が「最近やけに漏洩のニュースが多いな」と感じていたのと重なります。

ARTEXは、もともと中国語圏の開発者が学習・研究目的でGitHubに公開したオープンソースのツールだそうです。作者は公開をやめましたが、改変版が出回っているとされています。システムの弱いところを見つけて守るために作られた道具が、攻める道具として使われているわけです。

これまでなら、攻撃者が穴を見つけるには、それなりの技術と時間が必要でした。後回しにされた穴が、しばらく誰にも見つからずに済むこともあったかもしれません。でも、AIが自動で侵入テストをしてくれるなら、穴を探す手間は大きく下がります。後回しにしている間に見つけられてしまう可能性は、以前よりずっと高くなっているはずです。

ちなみに、イエラエがこの分析を発表した10月19日は、GMOがデスクトップクラウドの調査を始めた日でもあります。2つの件のつながりは発表されていません。ただ、同じグループのホワイトハッカーが外の攻撃を分析して発表したその日に、足元のサービスでも調査が始まっていたことになります。

熊谷代表もブログで、オープンウェイトのAIモデルが攻撃ツールに組み込まれて広がっていることに警鐘を鳴らしています。デスクトップクラウドへの攻撃にAIが使われたかどうかは発表されていません。それでも私は、今回の件もAIを使った攻撃なのだろうと見ています。

AIは料理人の包丁と同じ

こう書くと、AIが悪者のように見えるかもしれません。でも私はそうは思いません。AIはあくまで道具です。料理人が使う包丁と同じで、活かすも殺すも人間次第です。

自宅サーバーでは、私もClaude Codeと相談しながらセキュリティ対策をしています。以前の記事で書いたように、ルーターのコンフィグをAIに見てもらい、自分では気づけなかった設定のずれを見つけてもらったこともあります。「原因を調べて」と頼めば、AIは候補を次々に挙げてくれます。

ただ、最終的に判断するのは人間です。その人間が専門的な知識を持っていなければ、適切な判断はできません。AIが間違った提案をしてきたときに、反論できないからです。反論できなければ、信じるしかありません。

それに、人間はAIに入力していない情報も含めて判断しています。その場の空気を読むこともできます。すべての情報をAIに入れれば精度はある程度上がるのかもしれませんが、現実にはなかなかそうはなりません。トータルの判断力は、まだ人間のほうが上だと思っています。

最近、AIを使って上っ面だけのセキュリティ診断をしている例を見かけることが増えました。AIの言うことをすべて鵜呑みにするような診断は、どこかで必ず壁にぶつかるはずです。基礎的な知識は人間が持ち、その知識を活かすためにAIを効率よく動かす。それが正しい姿だと私は考えています。

ここで、GMOの話に戻ります。GMOには、知識を持った人間がいました。2年前に穴を指摘できたのは、まさに基礎知識を持った専門家がいたからです。足りなかったのは知識ではなく、その声を聞いて動く仕組みのほうでした。AIの時代に必要なのは、知識を持った人間と、その人間の声をきちんと聞く組織。その両方なのだと思います。

「守る側が不利」はAI以前の話

では、知識を持った人間がAIを使えば、AIを使う攻撃者に対抗できるのか。私はできると考えています。

セキュリティの世界には、「攻撃者は穴を1つ見つければいいが、守る側はすべての穴を塞がなければならない」という言い方があります。守るほうが攻めるより高度な技術を必要とするのは、昔から明白な話です。今回のニュースではAIの脅威が大きく取り上げられていましたが、攻めるほうが守るより楽なこと自体は、当たり前の話でもあります。

ただ、この言い方が当てはまったのは、AIがなかった時代の話だと私は思っています。穴を洗い出して塞ぐ作業は、AIが得意とするところです。攻撃する側がAIを使っているなら、守る側もAIを使えば、昔よりずっと効率よく守れるはずです。

同じ知識を持ったAI同士なら、攻めと守りはどっこいどっこいの戦いになります。そうなると勝敗を決めるのは、AIの後ろで指示を出している人間の技術力です。そして、その人間がどれだけ早く穴を見つけても、塞ぐ判断がされなければ守ることはできません。技術力と、それを活かす判断。今回の件は、その両方がそろって初めて守れるということを示しているように思います。

20年前、自宅サーバーで攻撃者を追いかけていた

攻めと守りの関係は、この20年でどう変わってきたのか。自分の自宅サーバーの歴史で振り返ってみます。

2005年に、このブログで「不正アクセス」という記事を書いています。大学のゼミで管理していたサーバーがSSHのパスワード攻撃を受けたのをきっかけに、自宅サーバーにも、日本国内（.jpドメイン）からしかSSHで入れないように制限をかけた。それなのに、日本のIPアドレスから堂々と攻撃されていた、という話です。ログを見ながら、nslookupとwhoisで相手のプロバイダを手で調べていました。あの頃は、攻撃に気づくのも、相手を調べるのも、すべて人間の手作業でした。

あれから20年。今も自宅サーバーには攻撃が来ます。ただ、私の自宅サーバーのようにアクセスの少ないニッチなサーバーを、わざわざ興味を持って狙う人間はまずいません。来るのは自動化されたボットでしょう。変わったのは守り方で、今はAIの助けを得ることが増えました。

一方で、ずっと変わらないと思っていることもあります。本気の攻撃は、いきなり来るものではないということです。まずはしらみつぶしに穴を調べ、いったん沈黙し、しばらく間を空けて時期を見定めてから、一気に仕掛けてくる。ある意味、戦争と同じです。そこを操っているのは人間で、AIはやはり道具でしかありません。

この見方で今回の件を眺めると、2年という時間の重さが気になります。今回の侵入経路が2年前の指摘と同じものかどうかは、まだわかっていません。ただ、もし穴が開いたままの状態が長く続いていたのだとしたら、攻撃者にとっては、調べて、待って、時期を見定める時間が十分にあったことになります。後回しにするということは、相手に時間を与えることでもあるのだと思います。

セキュリティは警備システムと同じ

ここまで考えてくると、話は結局お金の感覚に戻ってきます。2年前の指摘が後回しにされた理由も、突き詰めれば、セキュリティにかけるお金をどう考えるかの問題だと思うからです。そしてこれが、今回一番伝えたいことでもあります。

私はセキュリティを、家の警備システムのようなものだと思っています。自宅に警備システムを入れても、泥棒が入らなければ、警備費は警備会社に払うだけで、何の得にもなりません。かといって泥棒に入られて、100万円盗まれるところを防げたとしても、損失がゼロになるだけで、利益が生まれるわけではありません。

コンピューターに当てはめても同じです。情報を取られて損害をこうむれば、それはそのまま損失です。何も起きなければ、何も起きないだけ。セキュリティ対策が利益を生むことは、どこまでいってもありません。

これを理解していない人が、かなり多いと感じます。セキュリティ対策にかけるお金は0円でいい、と思っている人も少なくありません。だからこそ、専門家の指摘は「コスト」として後回しにされてしまいます。

そして何かが起きたとき、そのツケを払うのは会社だけではありません。NHKの取材に、身に覚えのない取引で約4,000万円を失った40代の男性が「ずっと恐怖と闘っている」と話しています。払われなかったコストは、消えてなくなるわけではありません。形を変えて、サービスを信じて使っていた利用者に回ってくるのです。

セキュリティに詳しくない方へ

ここまで少し専門的な話が続きました。では、利用者の立場では何ができたのか。セキュリティに詳しくない方に向けても書いておきます。

GMOの件は、利用者には防ぎようがなかった

今回のGMOの件について、利用者にできる防御は、基本的にはなかったと私は思っています。

GMOはまだ侵入経路を発表していません。ただ、攻撃者側は声明の中で、2つのことを挙げています。1つは、GMOが配布したリモートデスクトップの接続用ファイルで、利用者の手元のPCのドライブが共有される設定になっていたこと。もう1つは、サーバーの管理に共通の管理者アカウントが使われていたことです（攻撃者側の主張とGMOの発表を分けて整理した記事）。どちらもGMOが認めたものではなく、確かめられてはいません。

もしこの2つの組み合わせで起きたのだとすれば、どちらもサービスを提供する側の設定と管理の問題です。利用者は案内されたとおりに接続していただけで、そこに気づいて防ぐのは無理だったはずです。ですから、この件はGMOがきちんとセキュリティを確保すべきものだったと、私は基本的には考えています。

相次ぐ個人情報の漏洩は、別の話

一方で、このところあちこちで起きている個人情報の漏洩は、今回のGMOの件とはまったく別の話です。一緒にするべきではないと思っています。

相次いでいる漏洩では、サービスに登録していたメールアドレスやパスワードなどが外に出てしまうことがあります。こちらは、利用者の側にも、被害を広げないためにできることがあります。

まずはパスワードの使い回しをやめる

まず最初にやっておきたいのは、パスワードをサイトごとにすべて別のものにすることです。

同じパスワードを使い回していると、どこか1つのサイトから漏れただけで、同じパスワードを使っているほかのサイトにも入られてしまいます。逆に、サイトごとに違うパスワードにしておけば、1つのサイトから漏れても、被害はそのサイトだけで止まります。

私自身、すべてのサイトで違うランダムな文字列をパスワードにして、管理しながら運用しています。

もし今、パスワードを使い回しているなら、一度見直してみてもいいかもしれません。登録しているサイトが多くても、1日か2日あればきっと終わります。そして一度やってしまえば、それで終わりです。専門的な知識がなくてもできて、効果の大きい対策だと思います。

まとめ

漏洩のニュースが続くなかで、最初は「そのうちの一つ」だと思っていた今回の件。調べていくと、2年前から指摘されていた穴と、専門家の声が数字の前で後回しにされる構造、そして防御のために作られたAIツールが攻撃に使われている現実が見えてきました。

AIは包丁と同じ道具です。攻める側も守る側も同じ道具を持つ時代には、その後ろにいる人間の知識と、その声を聞いて動く組織が勝敗を分けます。そしてセキュリティは警備システムと同じで、利益は生みません。それでも、0円にしてよいものではありません。

GMOの件は利用者には防ぎようがありませんでしたが、相次ぐ漏洩には利用者にもできることがあります。セキュリティに詳しくない方は、まずパスワードの使い回しを見直すところからで十分だと思います。

私は2011年に情報セキュリティスペシャリスト試験に合格し、2018年頃に情報処理安全確保支援士に登録して、今も更新を続けています。高度な知識を求められる資格ですが、その知識の価値と、現場で評価される場面との間には開きがあって、苦労することが多いのも事実です。

それでも、この感覚が日の目を見る日がいつか来ることを期待して、こうした記事を書いています。今回の件をきっかけに、早くみんなが気づいてくれるといいですね。

— Kei

参考情報

« 週末は愛知のアピタを巡る——母との時間と、ドンキ化の流れの中で

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

アーカイブナビ

年月別
2026年 (15件)
2017年 (1件)
2014年 (10件)
2012年 (1件)
2011年 (3件)
2010年 (46件)
2009年 (34件)
2008年 (41件)
2007年 (23件)
2006年 (23件)
2005年 (101件)
タグで絞り込む